CN101916349A - 基于过滤驱动的文件访问控制方法、系统及过滤器管理器 - Google Patents

Abstract

本发明公开了一种基于过滤驱动的文件访问控制方法、系统及过滤器管理器。该方法包括：在访问控制系统中加入过滤器管理器；过滤器管理器的创建及加载模块进行过滤驱动的创建和加载；过滤器管理器的注册模块注册需过滤的操作；过滤器管理器的识别模块对目标文件进行识别；过滤器管理器的通信模块进行过滤驱动与应用程序的通信；所述过滤器管理器的过滤模块对文件操作进行过滤。本发明方法在不需要重新设计文件系统和底层驱动的前提下，在Windows系统中通过文件过滤驱动实现了对文件访问的拦截和监控，在系统底层保证了文件数据的安全性。

Description

基于过滤驱动的文件访问控制方法、系统及过滤器管理器

技术领域

本发明涉及计算机技术领域，具体涉及一种基于过滤驱动的文件访问控制方法、系统及过滤器管理器。

背景技术

随着计算机应用的普及，计算机内存储的数据也越来越重要。从政府、企业的机密文件，到家庭用户的个人隐私，无不存在着丢失和泄露的风险，而且经常会出现多人共用同一台计算机的情况，就更增加了信息的不安全性。

Windows系统是目前使用最广泛的计算机操作系统，但其本身对于数据的保护和权限的划分并不够完善，用户一旦登录进入系统后，通常可对计算机内的任意文件进行访问，十分不安全。虽然Windows本身提供了NTFS文件格式，可以设置用户访问权限，但是此种方法操作复杂，而且一旦系统出现问题无法成功登陆，即使文件本身没有损坏，也有可能导致文件因被锁定而无法读取和恢复，造成重大损失。

目前市场上存在的文件访问控制软件，大多是通过HookAPI实现，这种方法的优点是实现简单，缺点是没有与操作系统紧密结合，不能过滤所有文件操作，容易被破解，也容易与其他程序发生冲突，另外对系统的效率也有一定影响。

发明内容

本发明要解决的技术问题是提供一种基于过滤驱动的文件访问控制方法、系统及过滤器管理器，能够在不需要重新设计文件系统和底层驱动的前提下，在Windows系统中通过文件过滤驱动实现对文件访问的拦截和监控，在系统底层保证了文件数据的安全性。

本发明提供的技术方案如下：

本发明提供一种基于过滤驱动的文件访问控制方法，包括：

在访问控制系统中加入过滤器管理器；

所述过滤器管理器的创建及加载模块进行过滤驱动的创建和加载；

所述过滤器管理器的注册模块注册需过滤的操作；

所述过滤器管理器的识别模块对目标文件进行识别；

所述过滤器管理器的通信模块进行过滤驱动与应用程序的通信；

所述过滤器管理器的过滤模块对文件操作进行过滤。

所述进行过滤驱动的创建和加载包括：在入口函数DriverEntry()中通过调用FltRegisterFilter()函数对过滤器进行注册，注册成功后，调用FltStartFiltering()函数让过滤器开始工作，将过滤驱动加载到文件系统。

所述注册需过滤的操作包括：在FLT_REGISTRATION结构中，利用FLT_OPERATION_REGISTRATION的结构定义，设定需要过滤的IRP请求，其中需要注册预操作函数和后操作函数。

所述对目标文件进行识别包括：通过对IRP请求中附带的信息进行分析，提取出被操作文件的文件名，并与注册的特定文件进行比较，当匹配时，执行过滤操作，实现针对特定文件的访问控制功能。

所述进行过滤驱动与应用程序的通信包括：由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

所述对文件操作进行过滤包括：通过在FLT_OPERATION_REGISTRATION结构中注册多个函数，分别处理不同的IRP请求，然后根据获取得到的当前不同IRP请求，执行不同的操作。

本发明提供一种过滤器管理器，包括：

创建及加载模块，用于进行过滤驱动的创建和加载；

注册模块，用于注册需过滤的操作；

识别模块，用于对目标文件进行识别；

通信模块，用于进行过滤驱动与应用程序的通信；

过滤模块，用于对文件操作进行过滤。

所述通信模块中，由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

本发明提供一种基于过滤驱动的文件访问控制系统：

所述系统含有过滤器管理器，所述过滤器管理器包括：

创建及加载模块，用于进行过滤驱动的创建和加载；

注册模块，用于注册需过滤的操作；

识别模块，用于对目标文件进行识别；

通信模块，用于进行过滤驱动与应用程序的通信；

过滤模块，用于对文件操作进行过滤。

所述通信模块中，由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

上述技术方案可以看出：

本发明在不需要重新设计文件系统和底层驱动的前提下，通过编写文件过滤驱动的方式实现文件访问控制的功能，在Windows系统中通过文件过滤驱动实现了对文件访问的拦截和监控，在系统底层保证了文件数据的安全性，从而达到保护重要数据的目的，因此更安全和稳定，并且兼容性强。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明的访问控制系统架构示意图；

图2是本发明系统中的过滤器管理器的基本结构示意图；

图3是本发明过滤器管理器处理流程示意图；

图4是本发明方法的概括流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明实施例提供一种基于过滤驱动的文件访问控制方法，能够在不需要重新设计文件系统和底层驱动的前提下，在Windows系统中通过文件过滤驱动实现对文件访问的拦截和监控，在系统底层保证了文件数据的安全性。

以下进行详细说明。

图1是本发明的访问控制系统架构示意图；

如图1所示，本发明是在原有的Windows访问控制系统中加入了一个过滤器管理器，由过滤器管理器直接管理各种文件过滤驱动。

图2是本发明系统中的过滤器管理器的基本结构示意图。

过滤器管理器包括以下部分：创建及加载模块，用于进行过滤驱动的创建和加载；注册模块，用于注册需过滤的操作；识别模块，用于进行目标文件的识别；通信模块，用于进行过滤驱动与应用程序的通信；过滤模块，用于对文件操作进行过滤。

图3是本发明过滤器管理器处理流程示意图，如图3所示，过滤器管理器的处理流程如下：

1、过滤驱动的创建和加载。

创建及加载模块在入口函数DriverEntry()中通过调用FltRegisterFilter()函数对过滤器进行注册，注册成功后，调用FltStartFiltering()函数让过滤器开始工作，其中过滤器管理器将过滤驱动加载到文件系统。当需要停止过滤时，可以利用FltUnregisterFilter()卸载过滤器。

其中FltRegisterFilter()函数，结构如下：

NTSTATUS

 FltRegisterFilter(

   IN PDRIVER_OBJECT Driver，

   IN CONSTFLT_REGISTRATION  *Registration，

   OUT PFLT_FILTER  *RetFilter

   )；

其中PDRIVER_OBJECT为驱动对象，PFLT_FILTER为注册成功后指向过滤器的指针。FltRegisterFilterr()需要传入一个FLT_REGISTRATION结构的参数，该结构包含：一组上下文回调指针，一组文件系统操作回调指针等。

2、注册需过滤的操作。

注册模块在FLT_REGISTRATION结构中，利用FLT_OPERATION_REGISTRATION的结构定义，设定具体需要过滤的IRP请求，其中需要注册两种派遣函数，一种是预操作(pre-operation)，在操作之前被调用，另一种是后操作(post-operation)，在操作执行之后被调用。

例如：结构FLT_OPERATION_REGISTRATION callbacks[]＝{

              {IRP_MJ_READ，0，PreRead，NULL}，

              ......}；

定义了IRP_MJ_READ这个IRP请求的预操作派遣函数为PreRead()，后操作为空，则如果在PreRead()中直接结束这个IRP请求并返回错误，则可以使文件读取失败，实现限制文件访问的功能。

其中常见的IRP请求有IRP_MJ_CREATE(文件的创建和打开)、IRP_MJ_READ(数据读取)、IRP_MJ_WRITE(数据写入)、IRP_MJ_QUERY_INFORMATION(获取文件信息)、IRP_MJ_SET_INFORMATION(改变文件信息)等。

同时，如果过滤驱动需要实现对读、写等多种操作的拦截和过滤，则需要注册多个IRP请求的派遣函数。既可以编写不同的函数处理不同的操作，也可以将一个函数注册到多个IRP请求，统一进行处理。

3、对目标文件进行识别。

识别模块通过对IRP请求中附带的信息进行分析，提取出被操作文件的文件名，并与注册的特定文件进行比较，当匹配时，执行过滤操作，实现针对特定文件的访问控制功能。

通常调用一个预处理函数如下：

FLT_PREOP_CALLBACK_STATUS

PtPreOperation(

             __inout PFLT_CALLBACK_DATA Data，

         __in PCFLT_RELATED_OBJECTS FltObjects，

         __deref_out_opt PVOID*CompletionContext

)

其中Data包含IRP请求中附带的各种信息，如IRP请求的类型，IRP操作的对象等，这样可以从Data中获取被操作文件的文件名。

PFLT_FILE_NAME_INFORMATION NameInfo＝NULL；

FltGetFileNameInformation(Data，FLT_FILE_NAME_NORMALIZED|FLT_FILE_NAME_QUERY_DEFAULT，&NameInfo)；

FltParseFileNameInformation(NameInfo)；

通过FltGetFileNameInformation()和FltParseFileNameInformation()两个函数的调用，从Data中提取并分析被操作文件的文件名，其中NameInfo-＞FinalComponent是文件名，如“abc.txt”，而NameInfo-＞Name则是完整的路径名，形如“\Device\HarddiskVolume1\Documents and Settings\MyUser\MyDocuments\abc.txt:stream 1”。

以上均数据以Unicode_String的类型保存，可根据需要使用，例如利用RtlCompareUnicodeString函数进行比较操作，跟特定文件进行比较，当匹配时，执行过滤操作，实现针对特定文件的访问控制功能。

4、过滤驱动与应用程序进行通信。

通信模块中，由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。最后由驱动程序完成过滤操作。

本发明中，查找待过滤文件的工作在用户模式应用程序中实现。这种方式比在驱动程序中实现更为灵活，但需要实现过滤驱动与应用程序的通信。利用FltCreateCommunicationPort()函数创建一个端口用于通信。

FltCreateCommunicationPort(

    IN PFLT_FILTER Filter，

    OUT PFLT_PORT  *ServerPort，

    IN POBJECT_ATTRIBUTES  ObjectAttributes，

    IN PVOID  ServerPortCookie OPTIONAL，

    IN PFLT_CONNECT_NOTIFY ConnectNotifyCallback，

    IN PFLT_DISCONNECT_NOTIFY DisconnectNotifyCallback，

    IN PFLT_MESSAGE_NOTIFY MessageNotifyCallback，

    IN LONG  MaxConnections

    )；

参数中有两个需要自己定义的函数ConnectNotifyCallback()和DisconnectNotifyCallback()，用于建立连接和断开连接时的操作。ObjectAttributes定义了OBJECT_ATTRIBUTE结构，记录了端口对象的名称等信息。如果创建成功，即建立了ServerPort端口，此端口用于接受应用程序的连接。然后可以利用FltSendMessage()函数发送信息给应用程序。

FltSendMessage(

  IN PFLT_FILTER Filter，

  IN PFLT_PORT  *ClientPort，

  IN PVOID  SenderBuffer，

  IN ULONG  SenderBufferLength，

  IN PVOID  ReplyBuffer OPTIONAL，

OUT PULONG  ReplyLength OPTIONAL

IN PLARGE_INTEGER Timeout OPTIONAL

)；

其中SenderBuffer是发送给应用程序的信息，而ReplyBuffer则是从应用程序返回的信息。ClientPort是应用程序的端口，而ServerPort则是驱动程序的端口。最后，当通信结束时，利用FltCloseCommunicationPort()关闭通信端口。

另外在应用程序中，首先利用FilterConnectCommunicationPort()通过通信端口连接过滤驱动，成功后即可利用FilterGetMessage()获取过滤驱动发来的信息，利用FilterReplyMessage()返回信息给过滤驱动。在程序开发中，可以使用多线程技术，单独一个线程用于接收和处理来自驱动程序的消息。

通过以上的方法实现查询目标文件后，再由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。最后由驱动程序完成过滤操作。具体流程如图4所示。

5、对文件操作进行过滤。

在FLT_OPERATION_REGISTRATION结构中注册多个函数，分别处理不同的IRP请求，然后通过Data-＞Iopb-＞MajorFunction获取当前的IRP请求，进而执行不同的操作，如：

If(Data-＞Iopb-＞MajorFunction＝＝IRP_MJ_WRITE){

       Data-＞IoStatus.Status＝STATUS_MEDIA_WRITE_PROTECTED；

   //设状态为媒体写保护

   return FLT_PREOP_COMPLETE；

}

以上即判断当出现IRP_MJ_WRITE请求时，返回“媒体写保护”的错误提示。如果对IRP请求不需要做处理，则可以直接returnFLT_PREOP_SUCCESS_WITH_CALLBACK，返回操作成功，由系统转发给下一层驱动进行处理。

另外对于文件的读控制均可通过过滤IRP_MJ_READ请求来实现，但是对于文件的写控制有时并不能简单过滤IRP_MJ_WRITE请求就能实现的。因为某些文件在进行写操作时是通过临时文件进行的，如Word文件，在进行写操作的时候首先将输入写进创建的临时文件里面，然后将源文件用新的同名文件来覆盖，这种情况通过写例程虽然可以实现监视，但是由于产生的临时文件文件名是随机的，如果想利用控制临时文件来实现对该类文件的控制则难度很大，甚至是不可行的，因此无法通过写例程对此类文件进行写控制。

为此，本发明提出如下解决方案：先将文件的属性设为只读，同时过滤IRP_MJ_SET_INFORMATION请求，使文件的属性无法被修改，这样既可完整的控制对文件的写请求。此方法对通过临时文件进行写操作的访问也可控制。同时对于重要文件，一般还要进行如下处理：禁止删除，禁止对关键文件进行重命名。因为监控一般根据文件名进行识别，一旦改名，原有的文件就有可能不再属于被监控文件的范畴，而不能再对其进行监控，导致关键文件被修改或破坏。具体限制的方法同样是过滤IRP_MJ_SET_INFORMATION请求。

上述技术方案可以看出：

该方法在不需要重新设计文件系统和底层驱动的前提下，通过编写文件过滤驱动的方式实现文件访问控制的功能，在Windows系统中通过文件过滤驱动实现了对文件访问的拦截和监控，在系统底层保证了文件数据的安全性，从而达到保护重要数据的目的，因此更安全和稳定，并且兼容性强。

以上对本发明实施例所提供的一种基于过滤驱动的文件访问控制方法、系统及过滤器管理器，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种基于过滤驱动的文件访问控制方法，其特征在于，包括：

在访问控制系统中加入过滤器管理器；

所述过滤器管理器的创建及加载模块进行过滤驱动的创建和加载；

所述过滤器管理器的注册模块注册需过滤的操作；

所述过滤器管理器的识别模块对目标文件进行识别；

所述过滤器管理器的通信模块进行过滤驱动与应用程序的通信；

所述过滤器管理器的过滤模块对文件操作进行过滤。

2.根据权利要求1所述的基于过滤驱动的文件访问控制方法，其特征在于：

所述进行过滤驱动的创建和加载包括：在入口函数DriverEntry()中通过调用FltRegisterFilter()函数对过滤器进行注册，注册成功后，调用FltStartFiltering()函数让过滤器开始工作，将过滤驱动加载到文件系统。

3.根据权利要求1或2所述的基于过滤驱动的文件访问控制方法，其特征在于：

所述注册需过滤的操作包括：在FLT_REGISTRATION结构中，利用FLT_OPERATION_REGISTRATION的结构定义，设定需要过滤的IRP请求，其中包括注册预操作函数和后操作函数。

4.根据权利要求1或2所述的基于过滤驱动的文件访问控制方法，其特征在于：

所述对目标文件进行识别包括：通过对IRP请求中附带的信息进行分析，提取出被操作文件的文件名，并与注册的特定文件进行比较，当匹配时，执行过滤操作，实现针对特定文件的访问控制功能。

5.根据权利要求1或2所述的基于过滤驱动的文件访问控制方法，其特征在于：

所述进行过滤驱动与应用程序的通信包括：由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

6.根据权利要求1或2所述的基于过滤驱动的文件访问控制方法，其特征在于：

所述对文件操作进行过滤包括：通过在FLT_OPERATION_REGISTRATION结构中注册多个函数，分别处理不同的IRP请求，然后根据获取得到的当前不同IRP请求，执行不同的操作。

7.一种过滤器管理器，其特征在于，包括：

创建及加载模块，用于进行过滤驱动的创建和加载；

注册模块，用于注册需过滤的操作；

识别模块，用于对目标文件进行识别；

通信模块，用于进行过滤驱动与应用程序的通信；

过滤模块，用于对文件操作进行过滤。

8.根据权利要求7所述的过滤器管理器，其特征在于：

所述通信模块中，由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

9.一种基于过滤驱动的文件访问控制系统，其特征在于：

所述系统含有过滤器管理器，所述过滤器管理器包括：

创建及加载模块，用于进行过滤驱动的创建和加载；

注册模块，用于注册需过滤的操作；

识别模块，用于对目标文件进行识别；

通信模块，用于进行过滤驱动与应用程序的通信；

过滤模块，用于对文件操作进行过滤。

10.根据权利要求9所述的基于过滤驱动的文件访问控制系统，其特征在于：

所述通信模块中，由过滤驱动将每一个被操作文件的信息发送给应用程序，由应用程序判断该文件是否需要过滤，然后返回结果给驱动程序。

Images